Theo Luật Công nghiệp công nghệ số, nhà cung cấp dịch vụ đám mây trong nước có trách nhiệm gì?

Nhà cung cấp đám mây nắm hạ tầng chứa dữ liệu của hàng nghìn tổ chức. Bài viết phân định trách nhiệm và các cam kết cần có.

Doanh nghiệp cung cấp dịch vụ điện toán đám mây nắm giữ hạ tầng chứa dữ liệu của hàng nghìn tổ chức — từ doanh nghiệp nhỏ tới các hệ thống quan trọng. Vị thế này đi kèm trách nhiệm tương xứng.

Mô hình trách nhiệm chung

Điều cần rõ đầu tiên và ghi vào hợp đồng: trách nhiệm được chia giữa nhà cung cấp và khách hàng, và ranh giới thay đổi theo loại dịch vụ.

Nhà cung cấp chịu trách nhiệm về: an ninh vật lý; hạ tầng mạng và máy chủ; lớp ảo hóa; phân tách giữa các khách hàng; tính sẵn sàng theo cam kết; và với dịch vụ nền tảng thì cả hệ điều hành, phần mềm trung gian.

Khách hàng chịu trách nhiệm về: cấu hình dịch vụ; quản lý tài khoản và phân quyền; mã hóa dữ liệu của mình nếu cần; ứng dụng chạy trên đó; và tuân thủ pháp luật với nội dung dữ liệu.

Điều 10 Luật 71/2025/QH15 quy định: Cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động công nghiệp công nghệ số phải tuân thủ quy định của pháp luật về an toàn thông tin mạng, an ninh mạng, pháp luật về dữ liệu, dữ liệu cá nhân và pháp luật khác có liên quan.

Vùng xám cần thỏa thuận rõ: cấu hình mặc định do ai đặt; ai chịu trách nhiệm khi khách để lộ dữ liệu do cấu hình sai; và mức hỗ trợ khi khách gặp sự cố do lỗi phía họ.

Điểm đáng lưu ý: cấu hình mặc định là trách nhiệm thực chất của nhà cung cấp. Nếu mặc định là mở công khai, phần lớn khách hàng sẽ để nguyên — và rất nhiều vụ lộ dữ liệu lớn có nguyên nhân chính xác là như vậy. Mặc định an toàn là nguyên tắc thiết kế cơ bản.

Phân tách giữa các khách hàng

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Tám biện pháp:

• Phân tách ở lớp ảo hóa, kiểm thử thật;
• Phân tách mạng giữa các khách;
• Xóa an toàn vùng lưu trữ trước khi cấp lại cho khách khác;
• Kiểm soát tài nguyên để một khách không ảnh hưởng khách khác;
• Cách ly nhật ký;
• Cập nhật kịp thời vá lỗi ở lớp ảo hóa;
• Kiểm thử bảo mật bởi bên độc lập;
• Rà soát lại sau mỗi lần nâng cấp hạ tầng.

Điểm thứ ba là lỗ hổng nghiêm trọng và ít được kiểm chứng: một ổ đĩa ảo cấp lại cho khách mới mà chưa xóa sạch có thể chứa dữ liệu của khách trước.

Cam kết về dữ liệu khách hàng

Chín cam kết cần có trong hợp đồng:

• Không truy cập dữ liệu khách ngoài yêu cầu hỗ trợ cụ thể;
• Mọi truy cập của nhân sự có chấp thuận, có nhật ký, có thông báo lại;
• Không dùng dữ liệu khách cho mục đích riêng, kể cả phân tích, huấn luyện mô hình;
• Công bố vị trí đặt dữ liệu;
• Thông báo cho khách khi nhận yêu cầu cung cấp thông tin, trong phạm vi pháp luật cho phép;
• Danh sách nhà thầu phụ minh bạch, thông báo khi thay đổi;
• Không tiết lộ khách hàng nào đang dùng dịch vụ, quy mô ra sao;
• Xuất dữ liệu đầy đủ ở định dạng dùng được khi chấm dứt;
• Xóa dữ liệu theo phương pháp không khôi phục được, có xác nhận.

Điểm thứ ba là ranh giới ngày càng quan trọng và cần được ghi rõ, không để mập mờ trong điều khoản dài.

Điểm thứ tám là yếu tố quyết định khả năng khách hàng rời đi. Khoản 5 Điều 41 Luật 148/2025/QH15 quy định người dùng không bị áp đặt điều kiện bất hợp lý hoặc bị phân biệt đối xử khi sử dụng sản phẩm, dịch vụ số.

Phí xuất dữ liệu cao bất hợp lý là rào cản khiến khách bị giữ chân — đây là điều kiện cần được xem xét dưới góc độ công bằng.

Tính sẵn sàng và sự cố

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu, gồm bảo đảm tính sẵn sàng.

Chín yêu cầu:

• Kiến trúc không có điểm chết đơn lẻ;
• Nguồn điện, làm mát dự phòng, kiểm thử có tải;
• Kết nối mạng nhiều nhà cung cấp;
• Cam kết mức sẵn sàng cụ thể, có cơ chế bồi hoàn;
• Thông báo trước khi bảo trì có kế hoạch;
• Trang trạng thái dịch vụ công khai, cập nhật thật;
• Thông báo sự cố trung thực, kịp thời, không giảm nhẹ;
• Báo cáo phân tích nguyên nhân sau sự cố lớn;
• Vùng khả dụng độc lập cho khách cần mức sẵn sàng cao.

Điểm thứ sáu và thứ bảy là điều khách hàng đánh giá cao nhất và nhiều nhà cung cấp làm kém nhất: trang trạng thái vẫn báo bình thường trong khi dịch vụ đã sập là hành vi làm mất niềm tin nhanh nhất.

Sao lưu và khôi phục

Bảy nguyên tắc: nói rõ dịch vụ nào có sao lưu tự động, dịch vụ nào không — nhiều khách hiểu nhầm rằng đám mây tự động sao lưu mọi thứ; khách tự tải bản sao lưu về được; hỗ trợ sao lưu sang vùng địa lý khác; kiểm tra khôi phục định kỳ; cam kết thời gian khôi phục; sao lưu ngoại tuyến chống mã độc tống tiền; và bảo vệ bản sao lưu khỏi bị xóa bởi tài khoản bị chiếm quyền.

Điểm cuối là bài học từ các vụ mã độc tống tiền nhắm vào môi trường đám mây: kẻ tấn công chiếm được tài khoản quản trị thì xóa luôn cả bản sao lưu. Cơ chế khóa xóa trong một khoảng thời gian là biện pháp phòng vệ hiệu quả.

An ninh hạ tầng

Tám biện pháp: an ninh vật lý nhiều lớp tại trung tâm dữ liệu; xác thực nhiều lớp cho mọi tài khoản quản trị; phân tách nhiệm vụ cho thao tác quan trọng; giám sát hành vi tài khoản có quyền cao; bảo vệ trước tấn công từ chối dịch vụ; giám sát lưu lượng bất thường phát ra từ hạ tầng; kiểm thử xâm nhập định kỳ; và kênh tiếp nhận báo cáo lỗ hổng.

Điểm thứ sáu là nghĩa vụ với cộng đồng mạng: máy chủ trong hạ tầng của bạn bị chiếm quyền đang tấn công người khác.

Hỗ trợ khách hàng về bảo mật

Đây là giá trị nhà cung cấp có thể tạo ra. Sáu việc: cấu hình mặc định an toàn; cảnh báo khi khách đặt cấu hình rủi ro — ví dụ mở công khai kho lưu trữ; công cụ rà soát cấu hình; tài liệu hướng dẫn bằng tiếng Việt; đào tạo; và thông báo cho khách khi phát hiện dấu hiệu tài khoản họ bị chiếm quyền.

Điểm thứ hai là biện pháp đơn giản ngăn được phần lớn các vụ lộ dữ liệu do cấu hình sai.

Danh sách kiểm tra

• Cấu hình mặc định có an toàn hay mở công khai?
• Có xóa an toàn vùng lưu trữ trước khi cấp lại không?
• Có dùng dữ liệu khách để huấn luyện mô hình không?
• Phí xuất dữ liệu có hợp lý không?
• Trang trạng thái có phản ánh đúng thực tế khi có sự cố không?
• Bản sao lưu có được bảo vệ khỏi bị xóa bởi tài khoản bị chiếm quyền không?
• Có cảnh báo khách khi họ đặt cấu hình rủi ro không?

Đọc thêm cùng chủ đề

• Nền tảng học trực tuyến dùng AI gợi ý bài học cần minh bạch điều gì?
• Công ty chứng khoán dùng AI tư vấn đầu tư phải bảo đảm gì?
• Sàn tuyển dụng dùng AI sàng lọc hồ sơ cần bảo đảm điều gì?

Căn cứ pháp lý

• Luật 71/2025/QH15 Điều 10
• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 41

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.